Wenn ein KYC-Dienstleister Ihre Kunden identifiziert oder deren Dokumente prüft, bleibt die Verantwortung bei Ihnen. Ab dem 10. Juli 2027 verlangt Art. 18 der Verordnung (EU) 2024/1624 (AMLR) einen schriftlichen Vertrag, regelmäßige Kontrollen und eine vorherige Mitteilung an die Aufsicht. Wir entwerfen oder prüfen diesen Vertrag.
Hält Ihr KYC-Vertrag der AMLR stand? Kostenlose Prüfung
Erzählen Sie uns, was Ihr KYC-Dienstleister tut, und wir sagen Ihnen, was in Ihrem Vertrag fehlt.
KYC auszulagern ist zulässig, aber die AMLR legt fest, was Sie delegieren dürfen, was nicht und was im Vertrag stehen muss. Wir regeln das verbindlich, bevor der SEPBLAC oder Ihre Aufsichtsbehörde es prüft.
Wir trennen, was Auslagerung ist (der Dienstleister führt für Sie Aufgaben der Sorgfaltspflichten aus) und was nicht (die Nutzung seiner Software, seiner Datenbanken oder seiner Screening-Dienste), denn dafür gelten unterschiedliche Regeln.
Wir prüfen, dass der Dienstleister nicht an Ihrer Stelle über das Risikoprofil des Kunden, die Aufnahme der Geschäftsbeziehung oder die Meldung verdächtiger Transaktionen entscheidet.
Wir entwerfen oder prüfen die schriftliche Vereinbarung: Aufgaben, Anwendung Ihrer Richtlinien, Weiterverlagerung, Zugang zu Informationen, Prüfungsrechte, Datenaufbewahrung und Beendigung.
Wir dokumentieren, dass der Dienstleister ausreichend qualifiziert ist, wo er niedergelassen ist und wie er die Daten schützt – bevor er seine Arbeit aufnimmt.
Wir bereiten die vorherige Mitteilung an die Aufsicht und den Plan für regelmäßige Kontrollen vor – mit einer Häufigkeit, die der Bedeutung der Aufgabe entspricht.
Wir passen Ihre bestehenden Verträge, die unter dem Gesetz 10/2010 und dem Königlichen Dekret 304/2014 geschlossen wurden, so an, dass sie über den 10. Juli 2027 hinaus tragen, ohne dass Sie sie in Eile neu verhandeln müssen.
Wenn nicht Ihr eigenes Team das Kunden-Onboarding übernimmt, verlangt die Aufsicht als Erstes den Vertrag mit dem Dienstleister.
Video-Identifizierung, Dokumentenprüfung oder Biometrie durch einen Dritten: Führt er die Aufgabe für Sie aus, handelt er als Teil Ihres Unternehmens – und Sie haften.
Art. 18 AMLR wird unmittelbar anwendbar: schriftlicher Vertrag, regelmäßige Kontrollen und vorherige Mitteilung an die Aufsicht vor der Auslagerung.
Ist er in einem nach der AMLR ermittelten Drittland niedergelassen (mit hohem Risiko, mit Compliance-Mängeln oder mit einer spezifischen und ernsthaften Bedrohung), dürfen Sie nur innerhalb Ihrer Gruppe und mit Gruppenkontrollen auslagern.
Sie müssen nachweisen können, dass Sie die Logik dessen verstehen, was der Dienstleister tut, und dass dies Ihre konkreten Risiken mindert.
Angaben aus der Verordnung (EU) 2024/1624 (AMLR), dem Gesetz 10/2010 und dem Königlichen Dekret 304/2014.
Allgemeiner Geltungsbeginn der Verordnung (EU) 2024/1624.
Werden nie ausgelagert: Risikobewertung, Richtlinien, Risikoprofil, Annahme des Kunden, Meldung an die FIU und Erkennungskriterien.
Der Verpflichtete teilt der Aufsicht die Auslagerung mit, bevor der Dienstleister mit den Aufgaben beginnt.
Höchstfrist, innerhalb derer Ihnen der Verpflichtete, auf den Sie zurückgreifen, die Informationen zu den Sorgfaltspflichten übermitteln muss.
Derzeit erfordert der Rückgriff auf Dritte eine vorherige schriftliche Vereinbarung und schließt die laufende Überwachung der Geschäftsbeziehung aus.
Die Behörde zur Bekämpfung der Geldwäsche (AMLA) muss spätestens bis zum 10-07-2027 Leitlinien zur Auslagerung veröffentlichen.
Wir prüfen den Vertrag und den tatsächlichen Prozess und sagen Ihnen, was Sie ändern sollten, bevor die AMLR oder eine Aufsichtsprüfung kommt.
Sollen wir das für Sie übernehmen? Unser Team kann das KYC Ihrer Kunden durchführen: KYC-Outsourcing, mit der fertigen Akte innerhalb von 24 Arbeitsstunden.
Ja. Art. 18 AMLR erlaubt es, Aufgaben, die sich aus der Verordnung ergeben, an Dienstleister auszulagern, und derzeit lässt das Gesetz 10/2010 den Rückgriff auf Dritte sowie Auslagerungs- oder Agenturverhältnisse zu. In allen Fällen bleibt der Verpflichtete voll verantwortlich für alles, was der Dienstleister tut oder unterlässt.
Nach Art. 18.3 AMLR: Vorschlag und Genehmigung der unternehmensweiten Risikobewertung; Genehmigung der internen Richtlinien, Verfahren und Kontrollen; die Entscheidung über das Risikoprofil des Kunden; die Entscheidung, die Geschäftsbeziehung aufzunehmen oder die gelegentliche Transaktion durchzuführen; die Übermittlung an die zentrale Meldestelle (FIU) von Verdachtsmeldungen oder schwellenwertbasierten Meldungen (außer an einen anderen Verpflichteten derselben Gruppe im selben Mitgliedstaat); und die Genehmigung der Kriterien zur Erkennung verdächtiger Transaktionen.
Nicht unbedingt. Erwägungsgrund 47 AMLR stellt klar, dass die Nutzung oder der Kauf von Software Dritter sowie der Zugang zu Datenbanken oder Screening-Diensten nicht als Auslagerung gilt, wenn weiterhin der Verpflichtete selbst die Anforderung erfüllt. Eine Auslagerung liegt dagegen vor, wenn der Dienstleister die Sorgfaltspflichten für Sie ausführt.
Mindestens das, was Art. 18.4 AMLR verlangt: eine schriftliche Vereinbarung mit den Bedingungen der Aufgaben, die Pflicht des Dienstleisters und etwaiger Unterauftragnehmer, Ihre Richtlinien und Verfahren anzuwenden, sowie Ihre regelmäßigen Kontrollen; und nach Art. 18.5 nichts, was die Aufsicht behindert. Sind Sie ein Kreditinstitut, Zahlungsinstitut oder E-Geld-Institut, sollten Sie den Vertrag auch an den EBA-Leitlinien zu Auslagerungen ausrichten.
Mit der AMLR ja: Der Verpflichtete teilt der Aufsicht die Auslagerung mit, bevor der Dienstleister beginnt (Art. 18.1). Die Mitteilung bedeutet nicht, dass die Aufsicht die Vereinbarung billigt; sie kann sie aber nutzen, um Ihre Kontrollen zu bewerten oder Prüfungen vorzubereiten.
Bei der Auslagerung handelt der Dienstleister als Teil Ihres Unternehmens und wendet Ihre Richtlinien an. Beim Rückgriff auf Dritte (Art. 48 bis 50 AMLR) stützen Sie sich auf die Sorgfaltsprüfung, die ein anderer beaufsichtigter Verpflichteter bereits durchgeführt hat; dieser muss Ihnen die Informationen innerhalb von höchstens fünf Arbeitstagen übermitteln. In beiden Fällen liegt die letztendliche Verantwortung weiterhin bei Ihnen.
Ja, es sei denn, er ist in einem nach Abschnitt 2 von Kapitel III der AMLR ermittelten Drittland niedergelassen: mit hohem Risiko, mit Compliance-Mängeln oder mit einer spezifischen und ernsthaften Bedrohung. In diesem Fall dürfen Sie nur an einen Dienstleister Ihrer eigenen Gruppe auslagern, der gruppenweite Richtlinien im Einklang mit der Verordnung anwendet und auf Gruppenebene beaufsichtigt wird (Art. 18.6).
Das Gesetz 10/2010 und das Königliche Dekret 304/2014. Art. 8 des Gesetzes erlaubt mit einer vorherigen schriftlichen Vereinbarung den Rückgriff auf Dritte, die den Geldwäschevorschriften unterliegen – außer für die laufende Überwachung –, und gilt nicht für Auslagerungs- oder Agenturverhältnisse, bei denen der Dienstleister als Teil des Verpflichteten gilt. Zudem verlangt Art. 21 des Königlichen Dekrets 304/2014 seit dem 28. Oktober 2026, dass „andere sichere Verfahren“ der Fernidentifizierung die Mindestanforderungen der vom SEPBLAC veröffentlichten allgemeinen Genehmigungen erfüllen.
Die Aufsicht wird Sie nicht fragen, ob der Dienstleister gut ist, sondern ob Sie verstehen und kontrollieren, was er tut.
Software und Datenbanken sind keine Auslagerung; die Durchführung der Sorgfaltspflichten für Sie dagegen schon.
Risikoprofil, Annahme des Kunden und Meldung an die FIU verlassen niemals Ihr Unternehmen.
Vertrag, Vorabbewertung, regelmäßige Kontrollen und Mitteilung an die Aufsicht belegen, dass das Modell funktioniert.
Quelle: Verordnung (EU) 2024/1624 (Art. 18, 48 bis 50 und 90; Erwägungsgründe 47 bis 50), Gesetz 10/2010 (Art. 8) und Königliches Dekret 304/2014 (Art. 13 und 21).
Diese Begriffe finden sich in der Verordnung (EU) 2024/1624, im Gesetz 10/2010 und in jeder Überprüfung Ihres Kunden-Onboardings.
Kunden und wirtschaftlich Berechtigten identifizieren und überprüfen, den Zweck der Geschäftsbeziehung kennen und sie laufend überwachen.
Übertragung von Aufgaben, die sich aus der Verordnung ergeben, an einen Dienstleister; der Dienstleister gilt als Teil des Verpflichteten.
Sich auf die Sorgfaltsprüfung stützen, die ein anderer beaufsichtigter Verpflichteter bereits durchgeführt hat.
Unternehmen, das Compliance-Aufgaben im Auftrag des Verpflichteten ausführt, auch wenn es selbst kein Verpflichteter ist.
Übertragung von Aufgaben durch den Dienstleister an einen weiteren Dienstleister, der ebenfalls die Richtlinien des Verpflichteten anwenden muss.
Aufgabe, deren Bedeutung bestimmt, wie häufig der Verpflichtete Kontrollen durchführen muss.
Europäische Behörde, die Leitlinien zur Auslagerung und zum Rückgriff auf Dritte erlassen muss.
Land mit hohem Risiko, mit Compliance-Mängeln oder mit einer ernsthaften Bedrohung, ermittelt nach der AMLR: Dorthin wird nicht ausgelagert, außer innerhalb der Gruppe.
Nach dem Gesetz 10/2010 darf sie beim Rückgriff auf Dritte nicht an Dritte übertragen werden, außer in Gruppen.
Auslagerung: ein Dienstleister, der als Teil Ihres Unternehmens handelt.
Rückgriff auf einen anderen Verpflichteten: ein anderer Verpflichteter, der bereits seine eigene Sorgfaltsprüfung durchgeführt hat.
Auslagerung: Ihre eigenen, auch bei der Weiterverlagerung.
Rückgriff auf einen anderen Verpflichteten: die des anderen Verpflichteten, der die AMLR oder gleichwertige Vorschriften einhalten muss.
Auslagerung: schriftliche Vereinbarung und vorherige Mitteilung an die Aufsicht.
Rückgriff auf einen anderen Verpflichteten: schriftliche Vereinbarung über die Übermittlung der Informationen.
Auslagerung: Zugang gemäß Vertrag und regelmäßige Kontrollen.
Rückgriff auf einen anderen Verpflichteten: Übermittlung unverzüglich und innerhalb von höchstens fünf Arbeitstagen.
Auslagerung: vollständig beim Verpflichteten.
Rückgriff auf einen anderen Verpflichteten: letztlich beim Verpflichteten, der auf den anderen zurückgreift.
Diese Punkte versagen am häufigsten, wenn ein ausgelagertes Kunden-Onboarding geprüft wird.
Erzählen Sie uns, welchen KYC-Dienstleister Sie nutzen, welche Aufgaben Sie ihm übertragen und welchen Vertrag Sie unterzeichnet haben – wir sagen Ihnen, was Sie ändern sollten.
Aktualisiert am 15. Oktober 2026
Die Verordnung (EU) 2024/1624 (AMLR), anwendbar ab dem 10. Juli 2027, regelt die Auslagerung von Aufgaben der Geldwäscheprävention in einer unmittelbar anwendbaren europäischen Vorschrift. Ihr Art. 18 erlaubt es, Aufgaben an Dienstleister zu übertragen, setzt aber Grenzen, verlangt eine schriftliche Vereinbarung und belässt die gesamte Verantwortung beim Verpflichteten.
Verpflichtete können Aufgaben, die sich aus der Verordnung ergeben, an Dienstleister auslagern und müssen dies der Aufsicht mitteilen, bevor der Dienstleister beginnt. Der Dienstleister gilt als Teil des Verpflichteten. Dieser bleibt für jede Handlung oder Unterlassung voll verantwortlich und muss der Aufsicht erklären können, nach welcher Logik der Dienstleister arbeitet und wie dies seine Risiken mindert.
Art. 18.3 schließt aus: die unternehmensweite Risikobewertung, die Genehmigung von Richtlinien und Kontrollen, die Entscheidung über das Risikoprofil des Kunden, die Entscheidung über die Aufnahme der Geschäftsbeziehung, die Übermittlung von Verdachtsmeldungen oder schwellenwertbasierten Meldungen an die FIU (außer innerhalb der Gruppe und im selben Mitgliedstaat) und die Genehmigung der Erkennungskriterien. Für Organismen für gemeinsame Anlagen ohne Rechtspersönlichkeit gibt es eine begrenzte Ausnahme mit Genehmigung der Aufsicht.
Vor der Auslagerung muss sich der Verpflichtete vergewissern, dass der Dienstleister ausreichend qualifiziert ist. Die Bedingungen werden in einer schriftlichen Vereinbarung festgelegt; der Dienstleister und seine Unterauftragnehmer wenden die Richtlinien des Verpflichteten an, und dieser führt regelmäßige Kontrollen durch, deren Häufigkeit davon abhängt, wie wesentlich die Aufgabe ist. Für Kreditinstitute, Zahlungsinstitute und E-Geld-Institute legen die EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) einen Mindestinhalt für Verträge über wesentliche Funktionen fest; die EBA hat im September 2026 Leitlinien zum Management von Drittparteienrisiken veröffentlicht, die sie ersetzen werden.
Bis dahin gilt Art. 8 des Gesetzes 10/2010: Für die Erfüllung der Sorgfaltspflichten – mit Ausnahme der laufenden Überwachung – darf auf Dritte zurückgegriffen werden, die den Geldwäschevorschriften unterliegen, sofern eine vorherige schriftliche Vereinbarung besteht und die volle Verantwortung beim Verpflichteten bleibt. Dieser Artikel gilt nicht für Auslagerungs- oder Agenturverhältnisse, bei denen der Dienstleister als Teil des Verpflichteten gilt. Das Königliche Dekret 304/2014 konkretisiert die Vereinbarung (Art. 13) und verweist seit dem 28. Oktober 2026 für „andere sichere Verfahren“ der Fernidentifizierung auf die allgemeinen Genehmigungen des SEPBLAC (Art. 21).
Wenn Sie zunächst die Grundlagen brauchen, beginnen Sie mit Was ist KYC? (auf Spanisch). Der Vertrag mit dem Dienstleister ist Teil Ihres Geldwäsche-Handbuchs und Ihrer internen Kontrollen. Wenn Sie das Management Ihrer Compliance an eine Kanzlei übertragen möchten, lesen Sie unsere Seite zum Geldwäsche-Outsourcing (AML/CFT); zum neuen europäischen Rahmen insgesamt unsere Seite zur AMLR.